AI社員に外部のSaaSを操作させる方法

このマニュアルでできること

「勤怠SaaSにログインして今月の残業時間を調べ、集計CSVを受け取り、締め日の通知設定を変えておいて」といった、外部SaaSを相手にする一連の業務をAI社員に任せる方法を説明します。ログイン → 検索 → 値の取得 → ファイルの取得 → 設定変更の順に、依頼の仕方・裏側で起きること・管理者が承認する場面をまとめ、最後にガーディアン AI の常時監視・一時停止・Manager AI への報告・Kill Switchの関係を説明します。

AI社員がSaaSに到達する経路は3つあり、どれを使うかで「承認が要るか」「どこまで届くか」が変わります。公式APIがあるSaaSは経路①を、画面でしか操作できないSaaSは経路②を使います。経路③は公開ページを読むだけの軽い用途です。

仕組みと安全装置（先に全体像）

あなた ─依頼─▶ AI社員（Command Inbox / 定期タスク / Webhook / メール受信）
                  │
                  ├─ 読み取り（開く・読む・探す・取得）……即時に実行、すべて監査ログへ
                  │
                  ├─ 書き込み（ログイン・フォーム送信・設定変更・API更新）
                  │        └─▶ 承認カード（全社承認ボード / Approval Center）─承認─▶ 実行
                  │
                  └─ Web ページ取得（web_fetch）…… 許可ドメイン外は遮断（policy.web_blocked）
                             │
                             ▼
             ガーディアン AI が 60 秒ごとに取得ログを監視
                  ├─ 警告 ……… インシデント記録 ＋ Manager AI へ報告 ＋ 通知
                  └─ 重大 ……… 60 分の一時停止 ＋ Kill Switch 提案（承認）＋ Manager AI へ報告 ＋ 通知
                                     承認 → Kill Switch（恒久停止） ／ 却下 → 一時停止を解除

• 読み取りは即時、書き込みは承認制。SaaSに変化を与える操作（ログインを含む）は、管理者が内容を見て承認するまで実行されません。
• 到達範囲は許可リストで決まります。ページ操作は「Write許可ドメイン」、ページ取得は「宣言ドメイン＋Web閲覧許可ドメイン」だけです。それ以外は遮断され、遮断自体が監査ログに残ります。
• パスワードはAI社員に渡りません。ログインに必要な資格情報は管理者が暗号化保管し、承認済みの操作を実行する瞬間にプラットフォームが補完します。
• ガーディアン AI が常時監視します。遮断の連発・取得量の急増・URLに含まれる秘密情報らしき文字列・社内アドレスへの到達などを検知し、重大なものは自動で一時停止して Manager AI と管理者に知らせます。
• 最終手段は Kill Switch。ガーディアンの提案を承認すると該当AI社員は恒久停止します。管理者はいつでも手動で AI社員・コネクタ単位に停止できます。

準備（管理者・最初の1回だけ）

対象のAI社員の Capabilities ページで、能力プロファイルと宣言コネクタを確認します。SaaSにログインして設定を変えるところまで任せるなら、プロファイルはコネクタ利用（書き込みあり）で、web コネクタ（画面操作する場合）または当該SaaSのコネクタ（API連携する場合）が宣言されている必要があります。読むだけなら「Web調査」でも足ります。足りない場合は、宣言のあるペルソナを採用し直すか、Persona Studio で能力を宣言した新バージョンを公開します（採用時に管理者承認が入ります）。

Console の Connectors 画面にある Web コネクタの欄で、「Write許可ドメイン」に操作対象SaaSのドメイン（例: app.example-saas.com）を追加します。ここに無いドメインでは、ログインを含むページ操作の起票自体ができません（閲覧は可能）。ドメインは業務上必要なSaaSだけに絞ってください。

同じ欄の「SaaSログイン資格情報」で、手順2で許可したドメインを選び、ユーザー名とパスワードを登録します。パスワードは暗号化して保管され、AI社員・承認画面・監査ログには一切表示されません。可能であればAI社員専用のアカウントを発行し、権限を業務に必要な範囲に絞ってください（誰の操作かをSaaS側の履歴でも区別できます）。

同じ Connectors 画面の「Web閲覧許可ドメイン」に、AI社員が web_fetch で読んでよい公開サイト（例: www.e-gov.go.jp）を登録します。ここは全AI社員に共通で、各AI社員が宣言している外部通信先と合わせて適用されます。未登録のあいだは、宣言ドメイン以外のページ取得はすべて遮断されます。

freee・Gmail・Google Drive・Microsoft 365 は Connector Settings で OAuth 接続を、その他のSaaSは Connector Studio でカスタムコネクタ（REST / OpenAPI または MCP）を作成するか、運営カタログのコミュニティコネクタを有効化します。手順は「API / MCP連携」のマニュアルを参照してください。

手順1: SaaSにログインさせる

例:
「https://app.example-saas.com にログインして、ダッシュボードが表示されたら教えて」

AI社員は次の順に動きます。

1. ログインページを開き（読み取り・即時）、ページ内のフォームと入力欄を一覧して、ユーザー名欄・パスワード欄・ログインボタンを特定します。
2. 「ユーザー名欄に登録済みの値を入れる／パスワード欄に登録済みの秘密値を入れる／ログインボタンを押す」という操作手順（act）を組み立て、承認申請します。パスワードの実値は手順に含まれず、「資格情報を補完する」という指示だけが入ります。
3. 管理者は全社承認ボード（または当該AI社員の Approval Center）で、起票時の画面スクリーンショット・対象URL・操作手順を確認して承認します。
4. 承認後、プラットフォームは起票時と同じページのままであることとWrite許可ドメイン内であることを再確認してから、資格情報を補完して操作を実行します。ログイン後のページは同じブラウザセッションに保たれ、続く閲覧・取得はそのまま進みます。

手順2: 検索させる

SaaSの中で検索する

例:
「ログインしたまま、社員検索で『佐藤』を探して該当者の一覧を教えて」
「https://app.example-saas.com/reports?month=2026-08 を開いて、8月のレポート一覧を読んで」

• 検索結果をURLで直接開けるSaaS（検索語や期間がURLのパラメータになるもの）は、ページを開くだけなので即時に進みます。
• 検索フォームに入力して送信する必要があるSaaSでは、その送信はページ操作（承認制）になります。ログインと同じく承認カードが届きます。毎回の承認を避けたい場合は、URLで開ける画面を使うよう依頼するか、公式APIの検索を使う経路①を検討してください。
• API連携（経路①）なら、検索用のツール（例: search・list_*）は読み取りとして即時に実行され、結果は構造化データで返ります。

公開Webを検索する

例:
「『電子帳簿保存法 改正 2026』でWeb検索して、上位5件の要点をまとめて」

• web-search コネクタ（Brave / Tavily の正式API）を宣言したAI社員は、業務用途に耐える検索ができます。未宣言でも web コネクタの簡易検索が使えます。
• 検索結果のページ本文を読むときは、AI社員は web コネクタでページを開くか、許可ドメイン内であれば web_fetch で本文を取得します。許可外ドメインの web_fetch は遮断され、監査ログに「Web 取得の遮断」として残ります。

手順3: 値を取得させる

例:
「今開いている勤怠一覧から、残業時間が45時間を超えている人の氏名と時間を表にして」
「請求書一覧の合計金額と件数を読み取って、Slackに報告する文面を作って」

• AI社員はページ本文をテキストとして読み取り（長いページは続きを順に読みます）、必要な値を抜き出して回答します。表・リンク・ボタン・入力欄の一覧を取ることもできます。
• 読み取った内容は、そのままチャットで返すほか、成果物（CSV・Markdown・Excel など）として保存させ、Command Inbox からダウンロードできます。「CSVにまとめて」と依頼してください。
• 画面の状態を証跡として残したいときは「スクリーンショットも添えて」と依頼します。画像は成果物として受け取れます。
• API連携（経路①）では、値はJSONで返るため読み間違いが起きにくく、定期タスクでの集計に向きます。

手順4: ファイルをダウンロードさせる

Webコネクタはブラウザの「保存」によるファイルダウンロードには対応していません（画面のスクリーンショットのみ取得できます）。SaaSからファイルを受け取るには、次のいずれかの経路を使います。

手順5: 設定を変更させる

例:
「通知設定ページで『締め日3日前にメールで通知』をオンにして保存して」
「取引先マスタで株式会社Managetechの支払サイトを『月末締め翌月末払い』に変更して」

画面操作で変更する（Webコネクタ）

1. AI社員は設定ページを開き、変更対象の要素（チェックボックス・セレクト・入力欄・保存ボタン）を特定します。
2. 「選択する／入力する／クリックする／送信する」を1回の申請につき最大10ステップにまとめ、変更前の画面スクリーンショット付きで承認申請します。
3. 管理者は、対象URL・操作手順・スクリーンショットを見て、意図した変更かを確認して承認します。承認カードには「なぜその操作をするか（意図）」も表示されます。
4. 承認後、起票時と同じページ・許可ドメイン内であることを再確認して実行します。実行後にAI社員へ「保存後のページを読み直して、設定が反映されたか確認して」と依頼すると、変更結果を読み取って報告します。

APIで変更する（公式コネクタ / カスタムコネクタ / MCP）

更新系のツール（例: update_*・create_*・PUT/POST/PATCH/DELETE に対応する操作）はすべて書き込みとして承認カードが作られ、承認後に実行されます。承認カードには送信されるパラメータがそのまま表示されるため、金額・宛先・IDを確認してから承認してください。

監視と停止（ガーディアン AI の常時監視・一時停止・Manager AI への報告・Kill Switch）

ここまでの操作は、すべて監査ログに記録され、ガーディアン AI が 60 秒ごとに常時監視しています。とくにAI社員本人がURLを選んで到達する web_fetch は、事前承認が無い代わりに、許可リストによる遮断（予防）と常時監視（検知）の二層で守られています。

ガーディアンが検知すること

検知したときに自動で起きること

1. インシデントの記録。Office View のセキュリティ表示、Audit Log（「セキュリティ・インシデント」）、ガーディアン AI の日次監査レポート（Web 活動の節）に載ります。同じ種類の検知が続いても件数を更新するだけで、通知が連打されることはありません。
2. Manager AI への報告。ガーディアンは Manager AI にシステム発話で報告し、Manager AI はその内容を読んで状況判断を返します（Manager AI の Command Inbox で経緯を追えます）。Manager AI の日次サマリーにも「incidents」として載ります。
3. 管理者への通知。承認依頼の通知先に設定した Slack / LINE / Teams に、インシデントの要約が届きます。
4. （重大のみ）60 分の一時停止。該当AI社員の web_fetch だけが即座に止まります。停止中の呼び出しは「一時停止中」として遮断され、記録されます。ほかの業務やコネクタは止まりません。
5. （重大のみ）Kill Switch の提案。承認センターと全社承認ボードに「guardian_incident」のカードが届きます。カードには検知内容・証跡の抜粋・提案（該当AI社員の停止）が表示されます。

管理者の判断: 承認・却下・放置

手動の Kill Switch

ガーディアンの提案を待たずに止めたいときは、いつでも手動で停止できます。

• AI社員単位: Office View または Kill Switch 画面で該当AI社員を停止します。進行中の作業と定期タスクが止まり、新しい依頼は受け付けません。
• コネクタ単位（Connector Kill Switch）: Connector Settings で web や当該SaaSのコネクタを停止すると、全AI社員のそのコネクタ利用（承認済みの書き込みを含む）が止まります。ページ操作だけを止めたいときはこちらが便利です。
• 資格情報の無効化: Write許可ドメインからSaaSのドメインを削除すると、そのドメインの資格情報も無効になり、以後ログイン・操作の起票ができなくなります。

制限事項

• Webコネクタはブラウザの「保存」によるファイルダウンロードに対応していません（手順4の代替経路を使ってください）。
• 多要素認証・CAPTCHA・画像認証を含むログインはできません。SSO（Google / Microsoft アカウント）のポップアップログインも対象外です。
• ページ操作は1回の申請につき最大10ステップです。長い手順は複数回に分けて承認します。
• web_fetch は本文テキストの取得のみで、1ページあたり約2万字・2MBまでです。JavaScriptで描画されるページはWebコネクタで開いてください。
• 利用者本人のブラウザやChrome拡張をAI社員に共有する機能はありません（AI社員は専用のブラウザセッションを使います）。
• 承認済みの操作を後から取り消す機能はありません。

困ったとき